Waspada PamStealer! Malware macOS yang Validasi Password Korban Pakai PAM Apple Sebelum Dicuri
PamStealer adalah malware infostealer dua tahap untuk macOS yang pertama kali diidentifikasi oleh Jamf Threat Labs pada 2 Juli 2026. Malware ini menyebar lewat domain palsu 'maccyapp[.]com' yang meniru aplikasi clipboard manager Maccy asli.
Diterbitkan olehDiedit dengan DeepSeek-V4-FlashGambar dibuat dengan GPT Image 1.5
PamStealer adalah malware infostealer dua tahap untuk macOS yang pertama kali diidentifikasi oleh Jamf Threat Labs pada 2 Juli 2026.
Malware ini menyebar lewat domain palsu 'maccyapp[.]com' yang meniru aplikasi clipboard manager Maccy asli.
Keunikan PamStealer adalah kemampuannya memvalidasi password yang dimasukkan korban menggunakan Pluggable Authentication Modules (PAM) milik Apple, memastikan hanya kredensial asli yang dicuri.
Data yang dicuri meliputi password login, isi Keychain, kredensial browser, cookie, data dompet kripto, dan isi clipboard.
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
Sebuah malware infostealer baru untuk macOS bernama PamStealer tengah menjadi ancaman serius — dan ia memiliki trik yang sangat licik. Alih-alih langsung menerima password yang diketik korban di jendela palsu, PamStealer memvalidasi password tersebut menggunakan Pluggable Authentication Modules (PAM) milik Apple sebelum mencurinya. Ini artinya, penyerang hanya mendapatkan kredensial yang berfungsi, bukan salah ketik atau umpan . Pertama kali didokumentasikan oleh Jamf Threat Labs pada 2 Juli 2026 , PamStealer menandai evolusi yang mengkhawatirkan dalam pencurian kredensial di macOS.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "Waspada PamStealer! Malware macOS yang Validasi Password Korban Pakai PAM Apple Sebelum Dicuri"?
PamStealer adalah malware infostealer dua tahap untuk macOS yang pertama kali diidentifikasi oleh Jamf Threat Labs pada 2 Juli 2026.
Apa poin penting yang harus divalidasi terlebih dahulu?
PamStealer adalah malware infostealer dua tahap untuk macOS yang pertama kali diidentifikasi oleh Jamf Threat Labs pada 2 Juli 2026. Malware ini menyebar lewat domain palsu 'maccyapp[.]com' yang meniru aplikasi clipboard manager Maccy asli.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Keunikan PamStealer adalah kemampuannya memvalidasi password yang dimasukkan korban menggunakan Pluggable Authentication Modules (PAM) milik Apple, memastikan hanya kredensial asli yang dicuri.
Waspada PamStealer! Malware macOS yang Validasi Password Korban Pakai PAM Apple Sebelum Dicuri
PamStealer adalah malware infostealer dua tahap untuk macOS yang pertama kali diidentifikasi oleh Jamf Threat Labs pada 2 Juli 2026. Malware ini menyebar lewat domain palsu 'maccyapp[.]com' yang meniru aplikasi clipboard manager Maccy asli.
Diterbitkan olehDiedit dengan DeepSeek-V4-FlashGambar dibuat dengan GPT Image 1.5
PamStealer adalah malware infostealer dua tahap untuk macOS yang pertama kali diidentifikasi oleh Jamf Threat Labs pada 2 Juli 2026.
Malware ini menyebar lewat domain palsu 'maccyapp[.]com' yang meniru aplikasi clipboard manager Maccy asli.
Keunikan PamStealer adalah kemampuannya memvalidasi password yang dimasukkan korban menggunakan Pluggable Authentication Modules (PAM) milik Apple, memastikan hanya kredensial asli yang dicuri.
Data yang dicuri meliputi password login, isi Keychain, kredensial browser, cookie, data dompet kripto, dan isi clipboard.
Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PAPamStealer uses a typosquatting domain to impersonate the Maccy clipboard manager, tricking users into running malicious AppleScript code.
AI Perintah
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is PamStealer — the new macOS infostealer that validates stolen passwords through Apple's PA. Article summary: Here is the full fact-checked breakdown based on the Jamf Threat Labs report (July 2, 2026) and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative
openai.com
Sebuah malware infostealer baru untuk macOS bernama PamStealer tengah menjadi ancaman serius — dan ia memiliki trik yang sangat licik. Alih-alih langsung menerima password yang diketik korban di jendela palsu, PamStealer memvalidasi password tersebut menggunakan Pluggable Authentication Modules (PAM) milik Apple sebelum mencurinya. Ini artinya, penyerang hanya mendapatkan kredensial yang berfungsi, bukan salah ketik atau umpan . Pertama kali didokumentasikan oleh Jamf Threat Labs pada 2 Juli 2026 , PamStealer menandai evolusi yang mengkhawatirkan dalam pencurian kredensial di macOS.
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Apa jawaban singkat untuk "Waspada PamStealer! Malware macOS yang Validasi Password Korban Pakai PAM Apple Sebelum Dicuri"?
PamStealer adalah malware infostealer dua tahap untuk macOS yang pertama kali diidentifikasi oleh Jamf Threat Labs pada 2 Juli 2026.
Apa poin penting yang harus divalidasi terlebih dahulu?
PamStealer adalah malware infostealer dua tahap untuk macOS yang pertama kali diidentifikasi oleh Jamf Threat Labs pada 2 Juli 2026. Malware ini menyebar lewat domain palsu 'maccyapp[.]com' yang meniru aplikasi clipboard manager Maccy asli.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Keunikan PamStealer adalah kemampuannya memvalidasi password yang dimasukkan korban menggunakan Pluggable Authentication Modules (PAM) milik Apple, memastikan hanya kredensial asli yang dicuri.
Cara PamStealer Menginfeksi Korban Melalui Typosquatting
Malware ini disebarkan dari domain typosquat — maccyapp[.]com — yang dirancang untuk meniru proyek Maccy, aplikasi clipboard manager yang sah. Maccy asli hanya bisa diunduh dari maccy.app, Homebrew, atau repositori GitHub resmi . Situs resmi Maccy bahkan memperingatkan pengguna tentang halaman tiruan ini .
Saat korban mengunjungi situs palsu tersebut, mereka akan menerima file disk image (.dmg) yang berisi file AppleScript terkompilasi bernama Maccy.scpt. Maccy asli tidak pernah mendistribusikan dalam bentuk DMG; aplikasi ini hanya tersedia sebagai Maccy.app.zip.
Saat diklik dua kali, macOS akan membuka file .scpt di Script Editor sesuai pengaturan bawaan. Bagian file yang terlihat menampilkan instruksi bermerek yang menyuruh pengguna menekan ⌘+R untuk "memulai," sementara kode berbahaya yang asli disembunyikan jauh di bawah setelah banyak baris kosong . Teks tersebut juga menggunakan homoglif Yunani dan Sirilik pada kata "Maccy" untuk mengelabui pemindai berbasis teks .
Data Apa yang Dicuri PamStealer?
Infostealer tahap kedua yang berbasis Rust (Mach-O) ini mengumpulkan berbagai data sensitif :
Password login — ditangkap melalui dialog NSAlert asli yang bertuliskan "Maccy wants to make changes. Enter your password to allow this," lalu divalidasi secara lokal melalui PAM (pam_start, pam_authenticate, pam_end) tanpa aktivitas shell yang terlihat .
Entri Keychain — memuat Security.framework saat runtime (tidak ada di tabel impor statis) untuk mengambil password dari Keychain macOS .
Kredensial browser, cookie, dan data ekstensi dompet — membuka database kredensial secara langsung menggunakan panggilan baca SQLite yang sudah dibundel .
Isi Clipboard — menjalankan utilitas bawaan pbpaste secara berulang untuk memantau dan mencuri apa pun yang disalin pengguna .
Target Full Disk Access (FDA) — jika pengguna kemudian memberikan izin FDA (diminta setelah jeda hingga 40 menit), file-file yang dilindungi juga bisa diakses .
Rekognisi dompet kripto — konfigurasi C2 menyertakan endpoint Ethereum JSON-RPC, dan malware ini terpantau terhubung ke ethereum-rpc.publicnode[.]com.
Semua data curian dienkripsi dengan ChaCha20-Poly1305 dan dikirim melalui HTTPS ke endpoint C2 (domain yang terpantau: avenger-sync[.]live dan avengerflow[.]com), dibungkus dalam amplop JSON MacOSapp1{"data":"..."}.
Indikator Infeksi (IOCs)
Pemicu Penandatanganan Kode Script Editor
Sebelum meluncurkan muatan berbahaya, dropper menandatangani sementara (ad-hoc signing) bundel aplikasi palsu dengan codesign -fs - --deep (bukan tanda tangan Developer ID yang sah), lalu menjalankannya secara tersembunyi tanpa jendela atau kehadiran di Dock . Malware ini juga memeriksa alat debugging dan System Integrity Protection sebelum melanjutkan .
Proses "Finder" Palsu yang Menggunakan pbpaste
Muatan tahap kedua ditempatkan dalam bundel bernama Finder.app dengan identifier bundel com.apple.finder.monitor dan ikon Finder.icns asli yang disalin dari /System/Library/CoreServices/. Kemudian, ia memunculkan pbpaste untuk mencuri data clipboard. Activity Monitor mungkin akan menampilkan proses Finder kedua yang melakukan pembacaan clipboard — ini adalah anomali yang mencolok .
Login Items Baru dengan Ikon Sistem yang Disalin
Persistence (ketahanan) dibuat melalui Login Items (bukan LaunchAgents/LaunchDaemons) menggunakan API SMAppService modern dan API LSSharedFileList lawas. Malware dibundel di dalam: com.apple.finder.monitor dan com.apple.security.daemon (menyamar sebagai Software Update) . Karena panel Login Items di System Settings tidak menampilkan path lengkap, malware ini tampak seperti entri sistem yang sah .
Indikator Lainnya
File penanda bernama .Maccy dijatuhkan bersamaan dengan bundel bertahap .
Dropper menjalankan muatan JavaScript for Automation (JXA) melalui API ObjC asli (NSURLSession), menghasilkan lebih sedikit artefak pembuatan proses dibandingkan pengunduh berbasis curl/osascript pada umumnya .
Geo-fencing: eksekusi dibatalkan jika zona waktu, lokal, tata letak keyboard, atau kode negara cocok dengan Rusia, Belarus, Kazakhstan, atau 8 negara CIS lainnya .
Cara Pengguna Tetap Aman
Unduh Maccy hanya dari domain resmi maccy.app, atau melalui Homebrew / repositori GitHub resmi. Proyek asli bersifat open-source (lisensi MIT) dan dikelola oleh pengembang Alexey Rodionov (Team Identifier MN3X4648SC) .
Jangan pernah membuka file .scpt di Script Editor dari disk image yang diunduh lalu menekan Run. Tidak ada aplikasi macOS sah yang meminta Anda melakukan ini .
Waspadai prompt password administrator yang tidak terduga. Dialog PamStealer bertuliskan "Maccy wants to make changes" — padahal aplikasi asli tidak memerlukan password Anda untuk menginstal clipboard manager dari sumber resminya .
Curigai permintaan Full Disk Access yang tertunda. Jika sebuah aplikasi meminta FDA 30–40 menit setelah instalasi tanpa alasan jelas, kemungkinan besar itu adalah malware yang menunggu untuk menghindari atribusi .
Periksa Login Items di System Settings → General → Login Items untuk entri mencurigakan yang dinamai seperti komponen sistem (misalnya, com.apple.finder.monitor) yang tidak sengaja Anda tambahkan .
Pantau keberadaan beberapa proses Finder di Activity Monitor, terutama yang tidak memiliki jendela terlihat .
Cara PamStealer Menginfeksi Korban Melalui Typosquatting
Malware ini disebarkan dari domain typosquat — maccyapp[.]com — yang dirancang untuk meniru proyek Maccy, aplikasi clipboard manager yang sah. Maccy asli hanya bisa diunduh dari maccy.app, Homebrew, atau repositori GitHub resmi . Situs resmi Maccy bahkan memperingatkan pengguna tentang halaman tiruan ini .
Saat korban mengunjungi situs palsu tersebut, mereka akan menerima file disk image (.dmg) yang berisi file AppleScript terkompilasi bernama Maccy.scpt. Maccy asli tidak pernah mendistribusikan dalam bentuk DMG; aplikasi ini hanya tersedia sebagai Maccy.app.zip.
Saat diklik dua kali, macOS akan membuka file .scpt di Script Editor sesuai pengaturan bawaan. Bagian file yang terlihat menampilkan instruksi bermerek yang menyuruh pengguna menekan ⌘+R untuk "memulai," sementara kode berbahaya yang asli disembunyikan jauh di bawah setelah banyak baris kosong . Teks tersebut juga menggunakan homoglif Yunani dan Sirilik pada kata "Maccy" untuk mengelabui pemindai berbasis teks .
Data Apa yang Dicuri PamStealer?
Infostealer tahap kedua yang berbasis Rust (Mach-O) ini mengumpulkan berbagai data sensitif :
Password login — ditangkap melalui dialog NSAlert asli yang bertuliskan "Maccy wants to make changes. Enter your password to allow this," lalu divalidasi secara lokal melalui PAM (pam_start, pam_authenticate, pam_end) tanpa aktivitas shell yang terlihat .
Entri Keychain — memuat Security.framework saat runtime (tidak ada di tabel impor statis) untuk mengambil password dari Keychain macOS .
Kredensial browser, cookie, dan data ekstensi dompet — membuka database kredensial secara langsung menggunakan panggilan baca SQLite yang sudah dibundel .
Isi Clipboard — menjalankan utilitas bawaan pbpaste secara berulang untuk memantau dan mencuri apa pun yang disalin pengguna .
Target Full Disk Access (FDA) — jika pengguna kemudian memberikan izin FDA (diminta setelah jeda hingga 40 menit), file-file yang dilindungi juga bisa diakses .
Rekognisi dompet kripto — konfigurasi C2 menyertakan endpoint Ethereum JSON-RPC, dan malware ini terpantau terhubung ke ethereum-rpc.publicnode[.]com.
Semua data curian dienkripsi dengan ChaCha20-Poly1305 dan dikirim melalui HTTPS ke endpoint C2 (domain yang terpantau: avenger-sync[.]live dan avengerflow[.]com), dibungkus dalam amplop JSON MacOSapp1{"data":"..."}.
Indikator Infeksi (IOCs)
Pemicu Penandatanganan Kode Script Editor
Sebelum meluncurkan muatan berbahaya, dropper menandatangani sementara (ad-hoc signing) bundel aplikasi palsu dengan codesign -fs - --deep (bukan tanda tangan Developer ID yang sah), lalu menjalankannya secara tersembunyi tanpa jendela atau kehadiran di Dock . Malware ini juga memeriksa alat debugging dan System Integrity Protection sebelum melanjutkan .
Proses "Finder" Palsu yang Menggunakan pbpaste
Muatan tahap kedua ditempatkan dalam bundel bernama Finder.app dengan identifier bundel com.apple.finder.monitor dan ikon Finder.icns asli yang disalin dari /System/Library/CoreServices/. Kemudian, ia memunculkan pbpaste untuk mencuri data clipboard. Activity Monitor mungkin akan menampilkan proses Finder kedua yang melakukan pembacaan clipboard — ini adalah anomali yang mencolok .
Login Items Baru dengan Ikon Sistem yang Disalin
Persistence (ketahanan) dibuat melalui Login Items (bukan LaunchAgents/LaunchDaemons) menggunakan API SMAppService modern dan API LSSharedFileList lawas. Malware dibundel di dalam: com.apple.finder.monitor dan com.apple.security.daemon (menyamar sebagai Software Update) . Karena panel Login Items di System Settings tidak menampilkan path lengkap, malware ini tampak seperti entri sistem yang sah .
Indikator Lainnya
File penanda bernama .Maccy dijatuhkan bersamaan dengan bundel bertahap .
Dropper menjalankan muatan JavaScript for Automation (JXA) melalui API ObjC asli (NSURLSession), menghasilkan lebih sedikit artefak pembuatan proses dibandingkan pengunduh berbasis curl/osascript pada umumnya .
Geo-fencing: eksekusi dibatalkan jika zona waktu, lokal, tata letak keyboard, atau kode negara cocok dengan Rusia, Belarus, Kazakhstan, atau 8 negara CIS lainnya .
Cara Pengguna Tetap Aman
Unduh Maccy hanya dari domain resmi maccy.app, atau melalui Homebrew / repositori GitHub resmi. Proyek asli bersifat open-source (lisensi MIT) dan dikelola oleh pengembang Alexey Rodionov (Team Identifier MN3X4648SC) .
Jangan pernah membuka file .scpt di Script Editor dari disk image yang diunduh lalu menekan Run. Tidak ada aplikasi macOS sah yang meminta Anda melakukan ini .
Waspadai prompt password administrator yang tidak terduga. Dialog PamStealer bertuliskan "Maccy wants to make changes" — padahal aplikasi asli tidak memerlukan password Anda untuk menginstal clipboard manager dari sumber resminya .
Curigai permintaan Full Disk Access yang tertunda. Jika sebuah aplikasi meminta FDA 30–40 menit setelah instalasi tanpa alasan jelas, kemungkinan besar itu adalah malware yang menunggu untuk menghindari atribusi .
Periksa Login Items di System Settings → General → Login Items untuk entri mencurigakan yang dinamai seperti komponen sistem (misalnya, com.apple.finder.monitor) yang tidak sengaja Anda tambahkan .
Pantau keberadaan beberapa proses Finder di Activity Monitor, terutama yang tidak memiliki jendela terlihat .
jamf.comPamStealer: macOS Malware Posing as Clipboard Manager App
playtech.roPamStealer, noul malware care vânează parolele utilizatorilor de Mac: cum se ascunde într-o aplicație aparent inofensivă
maccyapp.comDownload Maccy 2.7.3 — Free Clipboard Manager for macOS
github.comGitHub - p0deje/Maccy: Lightweight clipboard manager for macOS